Public-Key-Infrastrukturen

Transkript

1 1 Technische Universität armstadt achgebiet Theoretische Informatik Prof. J. uchmann Vangelis Karatsiolis Lösungsvorschlag zur 13. Übung zur Vorlesung Public-Key-Infrastrukturen SS 2008 ufgabe 1: LP irectories Im folgenden ist eine LI atei von einem LP Server abgebildet: dn: dc=tud,dc=de objectlass: dcobject objectlass: organization dc: root description: LP directory of the TU o: TU armstadt dn: c=de,dc=tud,dc=de objectlass: country c: de dn: o=tu,c=de,dc=tud,dc=de objectlass: organization o: TU dn: o=raunhofer,c=de,dc=tud,dc=de objectlass: organization o: myompany o: raunhofer dn: ou=,o=tu,c=de,dc=tud,dc=de objectlass: organizationalunit ou: dn: cn=lice,ou=,o=tu,c=de,dc=tud,dc=de

2 2 cn: lice mail: sn: lice userertificate;binary:: MIIJj6gwIgIHkswQYJKoZIhvcNQQwTTLMk epjokxyk83qn8s204hp+jzgqfpvx9+vtrxx0uvdvo6p0zqpkggwjr/nn= dn: cn=ob,ou=,o=tu,c=de,dc=tud,dc=de cn: ob mail: sn: ob dn: cn=arl,ou=,o=tu,c=de,dc=tud,dc=de cn: arl mail: sn: arl userertificate;binary:: MIIJj6gwIgIHkswQYJKoZIhvcNQQwTTLMk epjokxyk83qn8s204hp+jzgqfpvx9+vtrxx0uvdvo6p0zqpkggwjr/nn= dn: cn=raunhofer,o=raunhofer,c=de,dc=tud,dc=de objectlass: crlistributionpoint objectlass: pki certificate;binary:: MIIJj6gwIgIHkswQYJKoZIhvcNQQwTTLMkG jokxyk83qn8s204hp+jzgqfpvx9+vtrxx0uvdvo6p0zqpkggwjr/nn= certificaterevocationlist;binary:: MII4TyjNgkqhkiG9w0QUmjLMkG L9xXw= cn: raunhofer dn: ou=sit,o=raunhofer,c=de,dc=tud,dc=de objectlass: organizationalunit ou: SIT dn: ou=ig,o=raunhofer,c=de,dc=tud,dc=de objectlass: organizationalunit ou: IG dn: cn=iana,ou=ig,o=raunhofer,c=de,dc=tud,dc=de

3 3 cn: iana mail: sn: iana userertificate;binary:: MIIJj6gwIgIHkswQYJKoZIhvcNQQwTTLMk epjokxyk83qn8s204hp+jzgqfpvx9+vtrxx0uvdvo6p0zqpkggwjr/nn= dn: cn=ob,ou=sit,o=raunhofer,c=de,dc=tud,dc=de cn: ob mail: sn: ob dn: cn=tu,o=tu,c=de,dc=tud,dc=de objectlass: crlistributionpoint objectlass: pki certificate;binary:: MIIJj6gwIgIHkswQYJKoZIhvcNQQwTTLMkG jokxyk83qn8s204hp+jzgqfpvx9+vtrxx0uvdvo6p0zqpkggwjr/nn= certificaterevocationlist;binary:: MII4TyjNgkqhkiG9w0QUmjLMkG L9xXw= cn: TU a) Wie lautet die Wurzel dieses Verzeichnisses? b) ntwerfen Sie den Informationsbaum (IT - irectory Information Tree). c) Was ist die Tiefe des aumes? d) er enutzer ob, der der Gruppe angehört und der enutzer ob, der zur Gruppe SIT gehört, haben den selben RN (cn=ob). Ist das erlaubt? e) ürften lice und ob, die zur Gruppe gehören, den selben RN (z. RN:cn= enutzer) haben? egründen Sie Ihre ntwort. f) Wie viele inträge gibt es in diesem Verzeichnis? g) Wie lautet der LP ilter (siehe auch R der alle inträge in diesem Verzeichnis findet? h) Wie viele Zertifikate gibt es in diesem Verzeichnis? Wie viele davon gehören zu end-entities und wie viele zu einer? Mit welchem ilter kann ein lient nach ihnen suchen? i) Wie lautet die LP URL (siehe auch R die alle Zertifikate zurück gibt? j) Wie lautet die LP URL, die alle Zertifikate mit OU= zurück gibt? k) Wie viele RLs gibt es in diesem Verzeichnis?

4 4 dc=tud,dc=de c= o=tu o=raunhofer ou= cn=tu ou=ig ou=sit cn=raunhofer cn=lice cn=ob cn=arl cn=iana cn=ob bbildung 1: irectory Information Tree l) Was ist der LP RL istribution Point des Zertifikats von lice Lösungsvorschlag a) ie Wurzel lautet: dc=tud,dc=de. b) Siehe bbildung 1 c) ie Tiefe des aums ist 4. d) Ja, weil sie keine siblings sind. e) Nein, weil sie siblings sind. f) s gibt 14 inträge. g) (objectlass=*) h) ie nzahl der Zertifikate beträgt fünf. rei davon sind end-entity Zertifikate und zwei sind Zertifikate. er ilter lautet: ( (userertificate;binary=*)(certificate;binary=*)) i) ldap://host:389/c=,dc=tud,dc=de?userertificate;binary,certificate;binary?sub? ( (userertificate;binary=*)(certificate;binary=*)) j) ldap://host:389/ou=,o=tu,c=,dc=tud,dc=de?userertificate;binary,certificate; binary?sub?( (userertificate;binary=*)(certificate;binary=*)) In diesem all würde auch die URL:

5 5 ldap://host:389/ou=,o=tu,c=,dc=tud,dc=de?userertificate;binary,certificate; binary?base?( (userertificate;binary=*)(certificate;binary=*)) funktionieren. k) s gibt zwei RLs l) er RL P lautet: ldap://host:389/cn=tu\%20,o=tu,c=,dc=tud,dc=de?certificaterevocationlist;binary?base? (objectlass=crlistributionpoint) ine lternative wäre: ldap://host:389/c=,dc=tud,dc=de?certificaterevocationlist;binary?sub?(objectlass= crlistributionpoint) allerdings liefert diese URL alle RLs in diesem Verzeichnis zurück. ufgabe 2: Zertifizierungspfad Konstruktion Im R gibt es einen Leitfaden zur Zertifizierungspfad Konstruktion. rzeugen Sie zwei äume in beide Richtungen (issuedto und issuedy oder forward und reverse wie in R beschrieben) für die PKI rchitektur der bbildung 2. Ziel-Zertifikat ist das Zertifikat. bbildung 2: rste PKI Hierarchie bbildung 3 zeigt eine zweite Hierarchie. in Teilnehmer, der die inheit K als Trust nchor hat, möchte den Schlüssel der inheit W verifizieren. rstellen Sie alle gültigen Zertifizierungspfade (in denen sich kein Zertifikat wiederholt) in Richtung issuedy. Welches Kriterium kann man anwenden, um Pfade kürzer zu machen?

6 6 ridge Q R S T U V G I K W J L M N O P bbildung 3: Zweite PKI Hierarchie Lösungsvorschlag Von dieser PKI rchitektur ausgehend können zwei äume erzeugt werden. er eine aum startet mit dem Trust nchor und führt zum Ziel-Zertifikat (issuedy Richtung) und ist in bbildung 4a abgebildet. er andere aum ist genau umgekehrt aufgebaut (issuedto Richtung) und in bbildung 4b dargestellt. s gibt zwei Pfade: Pfad #1: P : [ er t K,r, er t r,, er t,r, er t r,, er t,r, er t r,q, er t Q,S, er t S,U und er t U,W ], Pfad #2: P : [ er t K,r, er t r,q, er t Q,S, er t S,U, and er t U,W ], ine nwendung kann überprüfen, ob das selbe Paar SubjectN Public Key sich wiederholt und dann mit der Konstruktion dieses Pfads aufhören. as ist der all in Pfad #1. er t K,r, er t,r und er t,r sind zwar unterschiedlich, aber sie haben das gleiche Paar SubjectN Public Key

7 7 (a) Issuedy direction tree (b) IssuedTo direction tree bbildung 4: ertificate trees